how to use trusted instances - Elastic Compute Service: Central de Documentação do Alibaba Cloud

Pesquise instâncias confiáveis baseadas em vTPM, verifique o status de confiança no Security Center e trate exceções de confiança ou estados não medidos.

Visualize o status de confiança de uma instância

Um benchmark de medição de integridade é gerado durante a criação da instância. Nas inicializações subsequentes, as medições coletadas são comparadas com esse benchmark. O resultado da comparação indica o status de confiança e aparece no console do Security Center.

Acesse ECS console - Instances.
No canto superior esquerdo da página, selecione uma região e um grupo de recursos.
Na página Instances, clique em Filter by Tag e selecione acs:ecs:supportVtpm para filtrar as instâncias confiáveis.
Localize a instância confiável desejada e clique em na coluna Operating System.

Você será redirecionado para a página Host no console do Security Center.
Clique em Trusted information para visualizar o status de confiança.
Os círculos na seção Asset startup overview correspondem aos componentes listados na seção Trusted Status of components in assets. A cor de cada círculo na seção Asset startup overview indica se o estágio está normal:
- Tudo verde: o processo de boot transcorreu normalmente. Os valores de Actual measure coincidem com os valores de Standard value.
- Vermelho em um estágio: ocorreu um erro nesse estágio. Os círculos seguintes ficam cinzas. Consulte os detalhes na aba Alerts e corrija a exceção. Veja Handle trust exceptions.
Nota
Se a mensagem "your device is in the unmeasured state" aparecer na aba Trusted information, significa que a instância não reportou medições válidas por um longo período e nenhuma informação detalhada de confiança está disponível. Consulte Handle the unmeasured state.
Os Platform Configuration Registers (PCRs) são unidades de armazenamento em dispositivos de segurança confiáveis que guardam informações de status coletadas durante o boot. Cada PCR corresponde a um estágio de inicialização, e seu valor representa o status do objeto medido. Se o valor real do PCR corresponder ao valor padrão esperado, o estágio é considerado normal. Os seguintes objetos são medidos em cada estágio de boot:
- pcr0: SRTM, BIOS, option ROM embarcada e driver PI.
- pcr1: configurações da plataforma host.
- pcr2: driver UEFI e código de aplicação.
- pcr3: driver UEFI, configurações de aplicação e dados de aplicação.
- pcr4: código de gerenciamento de boot UEFI (geralmente MBR).
- pcr5: código de gerenciamento de boot UEFI (geralmente MBR), dados relacionados ao boot (usados pelo código de gerenciamento de boot UEFI) e tabela de partição GPT.
- pcr6: firmware UEFI específico do fabricante da plataforma.
- pcr7: política de secure boot.
- pcr8: comandos críticos de arquivos de configuração, como grub.cfg, e informações de linha de comando passadas ao kernel Linux. Comandos não críticos, como definições de título do menu de boot, não são medidos.
- pcr9: módulo GRUB, kernel Linux e initramfs.
Nota
Para definições detalhadas, consulte ISO/IEC 11889:2015 Trusted Platform Module Library.

Trate exceções de confiança

Se um estágio de boot falhar, o círculo correspondente na aba Trusted information ficará vermelho. Acesse a aba Alerts para visualizar os detalhes do alerta e corrigir a exceção.

Clique em Alerts e defina Alert type como Trusted exception.
Clique em Details no lado direito do alerta para visualizar os detalhes do erro.

Nota
Alertas não tratados são reemitidos periodicamente, mas nenhum novo alerta é gerado para a mesma exceção. Apenas o horário da última ocorrência aparece na coluna Last Occurred At.
Entre em contato com o administrador do sistema para verificar se houve operações recentes de upgrade ou manutenção, como atualização do kernel do SO, alteração de parâmetros de boot ou modificação do initramfs. Em seguida, adote uma das ações abaixo conforme o resultado.
- Cenário 1: Nenhuma atualização ou manutenção recente — ignore o alerta após verificação.
  
  Um evento de segurança pode ter ocorrido na instância, como malware do tipo rootkit ou bootkit. Solicite ao administrador do sistema uma verificação aprofundada, corrija as exceções e então ignore o alerta:
  1. Ative os recursos Anti-Virus e Vulnerabilities no console do Security Center. Atualize a base de vírus, procure malwares e corrija quaisquer vulnerabilidades encontradas.
  2. Na aba Alerts, clique em Process.
  3. Selecione Ignore e clique em Handle.
    
    Para tratar o mesmo alerta em várias instâncias simultaneamente, selecione Handle the same alarms at the same time.
    
    Importante
    Os alertas marcados como Ignore permanecem na aba Trusted information. O Security Center continua gerando alertas periodicamente até que a instância seja reiniciada e passe na verificação.
- Cenário 2: Atualização ou manutenção recente — adicione à lista de permissões após verificação.
  
  Após uma atualização ou manutenção do sistema, o status pós-atualização passa a ser o novo benchmark. Os valores de PCR em cada estágio de boot também se tornam os novos valores de referência. Selecione Add whitelist.
  
  Os valores de medição real adicionados à lista de permissões passam a ser os novos valores de benchmark.

Trate o estado não medido

Se a aba Trusted information exibir a mensagem "your device is in the unmeasured state", significa que a instância confiável não reportou medições válidas por um longo período. Isso geralmente ocorre porque o cliente de confiança não consegue acessar o service Trusted System. Realize a solução de problemas a seguir:

Verifique a função RAM da instância.
- Se nenhuma função RAM estiver associada à instância, associe a função necessária.
- Se já houver uma função RAM associada, verifique se ela tem acesso ao service Trusted System. Consulte Create trusted instance.
Verifique a conectividade de rede.

Teste a conectividade de rede na instância confiável:
```
ping trusted-server-vpc.<region-id>.aliyuncs.com
```
Substitua <region-id> pelo ID da região da instância confiável. Uma resposta indica que a conectividade está normal.
Verifique as configurações do grupo de segurança.

Confirme se os grupos de segurança associados à instância confiável não bloqueiam o acesso a trusted-server-vpc.[region-id].aliyuncs.com.
Verifique o status do cliente.

Execute systemctl status t-trustclient para verificar o status do cliente. Se o cliente não estiver no estado running, execute systemctl restart t-trustclient para reiniciá-lo.